PHP lanza parches críticos tras auditoría y detección IA

La Fundación PHP ha publicado hoy los parches 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas que permiten la ejecución remota de código en servidores que utilizan el lenguaje. El comunicado destaca que la actualización es imperativa para cualquier usuario de PHP.

Los fallos fueron identificados durante la primera auditoría externa de seguridad de PHP en 2024, realizada por Quarkslab, y se remontan a un problema de agotamiento de memoria detectado en 2024. La resolución se retrasó por una “falla estructural” en el proceso de decisión y recursos del proyecto.

En 2026 la Fundación creó un equipo de seguridad ampliado y colaboró con el proyecto Alpha‑Omega, empleando herramientas de IA como Claude Mythos y Daybreak Red para validar reportes y exploits. Esta colaboración aceleró la detección de la causa raíz compartida por los atacantes.

Investigadores de Calif, OpenAI y Wiz reportaron la ejecución remota de código en julio y agosto, lo que llevó a la Fundación a priorizar la corrección del problema a partir del 11 de agosto. La IA se utilizó para agrupar los vectores de ataque y acelerar la respuesta.

La publicación de los parches se vio obstaculizada por filtraciones de identificadores de vulnerabilidades el 20 de octubre y por un video de prueba de concepto publicado por error por Calif. Además, Chainguard rompió el embargo, lo que según la Fundación permitió a atacantes estudiar el parche antes de su lanzamiento oficial.

La entidad concluyó su comunicado pidiendo una financiación sostenida de empresas, proveedores de alojamiento, plataformas de nube y gobiernos que dependen de PHP, subrayando que la IA acelera la detección pero no sustituye a los ingenieros experimentados. OpenAI, por su parte, resaltó su coordinación internacional bajo la iniciativa “Patch the planet” y solicitó mayores recursos para los defensores del ecosistema.